fix(m0): 迁移可执行 + 测试全绿（33 条）

跑通迁移与测试后修掉的真问题：

- alembic 0001：asyncpg 走预备语句，一次 execute 只能一条 SQL。
  CREATE FUNCTION / CREATE POLICY / GRANT 全部拆成单语句逐条执行，
  否则报 "cannot insert multiple commands into a prepared statement"。
- 创建工作区：ORM flush 只按 relationship 排序，裸外键不算数，
  member 可能先于 workspace 落地撞 FK。改为先 flush workspace 再插 member。
- datetime.UTC 是 3.11+ 才有的，本机 3.10 直接 ImportError。改用 timezone.utc。
- 幂等中间件：原来会缓存 4xx。校验失败被缓存后，用户改对参数仍拿到同一个 422。
  改为只缓存 <400。
- 发码节流窗口改为可配置 SMS_THROTTLE_SECONDS（测试置 0），
  节流用例自己显式打开，避免"整库关掉节流"导致节流从未被验证。
- 租户隔离用例：pytest.raises(Exception) 改为精确的 ProgrammingError，
  否则任何异常都会让"应用角色不能建表"这条断言假通过。

验收：pytest 33 passed；ruff check / format 通过；真机跑 uvicorn，
/health、/version、登录、建工作区、列表、/auth/me 全通。

backend/tests/conftest.py

@@ -11,19 +11,21 @@ import os
 
 os.environ["ENV"] = "test"
 os.environ.setdefault("SMS_DEV_CODE", "123456")
+# 测试里关掉发码节流，否则"同一手机号再登录一次"要等 60 秒
+os.environ.setdefault("SMS_THROTTLE_SECONDS", "0")
 
 import uuid
 from collections.abc import AsyncIterator
 from typing import Any
 
 import pytest
-from alembic import command
-from alembic.config import Config
 from httpx import ASGITransport, AsyncClient
 from sqlalchemy import text
 from sqlalchemy.ext.asyncio import create_async_engine
 from sqlalchemy.pool import NullPool
 
+from alembic import command
+from alembic.config import Config
 from app.config import get_settings
 from app.db import engine
 from app.main import app
@@ -82,9 +84,7 @@ async def login(client: AsyncClient, phone: str | None = None) -> dict[str, Any]
     """发码 + 登录，返回 {token, refresh_token, user_id, phone}。"""
     phone = phone or f"138{uuid.uuid4().int % 100_000_000:08d}"
     await client.post("/api/v1/auth/sms/send", json={"phone": phone})
-    data = unwrap(
-        await client.post("/api/v1/auth/login", json={"phone": phone, "code": DEV_CODE})
-    )
+    data = unwrap(await client.post("/api/v1/auth/login", json={"phone": phone, "code": DEV_CODE}))
     return {
         "token": data["tokens"]["access_token"],
         "refresh_token": data["tokens"]["refresh_token"],
@@ -95,4 +95,6 @@ async def login(client: AsyncClient, phone: str | None = None) -> dict[str, Any]
 
 
 async def create_workspace(client: AsyncClient, user: dict[str, Any], name: str) -> dict[str, Any]:
-    return unwrap(await client.post("/api/v1/workspaces", json={"name": name}, headers=user["headers"]))
+    return unwrap(
+        await client.post("/api/v1/workspaces", json={"name": name}, headers=user["headers"])
+    )